軟體的秘密後門

軟體真的安全嗎? 到底有沒有所謂的「軟體秘密後門」?Marcus Ranum與Bruce Schneier兩位專家在此發表他們精湛的見解。

Marcus Ranum看法

　　今年二月份，杜拜港口世界集團（Dubai Ports World）藉由收購擁有美國港口的英商，進而獲得美國港口經營權。此一收購案卻因美國擔心阿拉伯世界可能無法有效地保證這些港口的安全而被制止，姑且不論美國是否能有效地保證這些港口的安全性。而幾個月前，以色列網路安全公司CheckPoint，也試著買下美國的入侵偵測系統廠商Sourcefire，此一交易還差點因杜拜事件餘波影響。同樣地，暫且不談美國政府是否具備有效保護網路安全的能力，大家對於CheckPoint這家以色列公司，可能控制美國政府部分網路軟體持保留態度。

　　到底有沒有所謂「秘密後門」? 當然是肯定的，應該這麼問－世界因杞人憂天塌下來過嗎?

　　真實的情況是，如果軟體掌控了你的電腦（事實上電腦硬體本來就是由軟體所控制），撰寫軟體的人就能夠掌控你的電腦，而軟體究竟有沒有可能含有戰略的意圖呢? 看看歐盟吧，在之前，便大肆疾呼，電腦別被位於華盛頓Redmond某家公司所撰寫的作業系統控制住。好事者可把Check Point這個採購案事件看做是美國自己嘗到苦果。

　　如果你能接受有所謂的「秘密後門」， 那麼， 美國政府想採取這種如「軍事氦氣儲備計畫」般的「軍事軟體保障計畫（strategic software reserve）」）並不會令你意外，你會接受他並不是故意阻撓高科技併購行為，而是防範設備被敵人掌控。你擔心CheckPoint併購Snort這件事會影響國家安全? 其實，CheckPoint早就買下Windows系統內建知名防火牆軟體ZoneAlarm，而ZoneAlarm已控制整個Windows的TCP/IP Stack和程序。何必現在才擔心以色列公司買下一個IDS公司呢? 前陣子加拿大的Research In Motion公司拿下全美黑莓機市場，而黑莓機才是那些政府官員人手一隻、賴以維生的設備呢，還記得幾個月前，RIM公司才因專利權爭議差點關門大吉呢，看來，美國政府是害怕無法對加拿大區送出機敏資訊吧?如果這樣的通訊安全也可算進戰略考量，說真的，我覺得還有更多其他事要擔心呢！

　　全球政府當局在採用高科技技術時，未曾擔憂這些東西會成為武器，而那些所謂的防禦專家，經常提到所謂的「資訊戰」，卻未曾想過「軟體」是武器的議題－武器控制系統也須靠軟體運作。 大家是不是忽略問題的本質，反倒過分擔憂。

　　站在反對立場， 挑出CheckPoint與Sourcefire收購這件事來大作文章實在是很蠢的一件事。我猜，如果了解技術，又繼續偏執的話，只會把自己嚇的半死。喔！對了，再提醒各位，微軟的ISA（防火牆軟體），其實也是以色列團隊開發的。

Bruce Schneier看法

　　如果， 你將「重要設施（ c r i t i c a l infrastructure）」定義為對社會或經濟有極大影響的設施，那麼「軟體」便是「重要設施」的一種，對於許多公司行號和個人來說，一旦他們的電腦無法運作，他們也無法工作了。

　　舉個大家都會忽略的例子，每個人都知道747飛機上的航空軟體或軍事上使用的導航飛彈，是非常重要的軍事設備，但誰會去想到航空公司秤重軟體或是負責運送導航飛彈的單位，他們所安裝的作業系統或資料庫軟體，也會是重要的「軍事設備」呢?

　　過去以來，許多「重要設施」使用市售、套裝軟體或軟體公司撰寫的軟體。直至今日終於發現，只要是Windows、Apache、或是Cisco路由器上的一個漏洞，都可能對經濟造成嚴重影響。有研究員指出，一隻精心設計的網路蠕蟲，可以在短短15分鐘內癱瘓整個Internet。

　　我確信至少有一小部分的程式設計師，在他們撰寫的程式碼中加上漏洞或是後門，其實我比較訝異的是，有些政府機構像是美國中情局、國安局、軍情局、中國政府、以色列情報局、印度、巴基斯坦會偷偷地加上後門。就算是他們並沒有滲透任何軟體公司，偷偷地加上後門，至少他們會盡量解決或利用他們所發現的漏洞。

　　令一方面， 活在每週都有新的軟體漏洞出現的世界裡，雖然小事件不斷，經濟運作看似正常。在此，並不是強調本週亞洲區又出現了那隻病毒、俄國又架了哪些詐騙網站、或是哪些恐怖份子又宣稱要破壞什麼東西等這類事件—現正討論的可是國家安全機構。「資訊戰」只是個被誇大的用詞，但下一世紀的戰爭，網路戰將會佔極大的分量。而這些機構絕對有所準備的。

　　Marcus說對了一件事，現在是不是太晚了?軟體公司已走向國際化，這種產業是不分國界的（不是偏向中國、也不是朝向美國），可以強迫效忠國家，讓軟體開發保證絕無被利用，軟體發展的面向太多了，沒有好辦法可以解決這個問題， 問題在於程式設計師的忠誠度，而不在他工作的國家。

　　我們該怎麼面對這個問題? 關鍵在於，我們得先意識目前尚無有效商用軟體能夠檢測或移除這些惡意插入的後門。一旦了解這點，別針對「因為國家安全導致Checkpoint無法併購Sourcefire」來大作文章，應注意解決問題之道該是「深層防禦」。

　　理論上，安全軟體像是防火牆、入侵偵測系統，只是一種補救設施。因為作業系統、應用程式仍然充斥著一大堆漏洞。如果你的軟體剛開始就撰寫得完美無暇，你根本不需要防火牆不是嗎?

　　若真的嚴肅看待這些「重要設施」，會意識到它非常重要，裝設安全軟體保護這些設施、注意是否有備援、同時假設安全設備也會失效、在失效時要確保能繼續運作、並使用深度防禦或網路分隔來降低失效的影響。基本上，會採取目前所有安全措施來保障網路安全，並正視這項議題，以國家級軍事防禦方式來保障網路安全。

　　這種方式花費甚鉅，也可能被否定。也許，選擇繼續忽視這個問題，反倒簡單。或者，藉由經營國際外交關係，避免敵對國家展開此類攻擊吧。

Marcus Ranum現職Tenable網路安全公司CSO，知名安全技術開發人員，講師。
Bruce Schneier 現職Counterpane網路安全公司CTO，Beyond Fear: Thinking Sensibly about Security in an Uncertai作者。